Datenschutzerklärung (Fachanwender und Betroffene, die einen Link erhalten)

1. Für wen diese Erklärung gilt

Diese Erklärung gilt (a) für Fachanwender, die ein Konto bei Titus Docs haben, und (b) für Personen, die von einem Fachanwender einen Erfassungslink erhalten und auf diesem Weg die Beschaffung ihrer Dokumente genehmigen (die „Betroffenen“). Wenn Sie Titus Docs direkt als Privatperson nutzen, ohne über einen Fachanwender zu gehen, gilt die Datenschutzerklärung für Privatpersonen.

Titus Docs ist ein privater Dienst des Produkts TitusOne und wird betrieben von [ENTIDADE OPERADORA — NIPC, morada].

2. Verantwortlicher und Auftragsverarbeiter

Bei der Erfassung von Dokumenten ist der Fachanwender, der die Dokumente angefordert hat, der Verantwortliche für die Verarbeitung der personenbezogenen Daten des Betroffenen: Er entscheidet, zu welchen Zwecken die Daten erhoben werden, und muss dafür über eine Rechtsgrundlage verfügen. Titus Docs handelt als Auftragsverarbeiter und verarbeitet die Daten im Namen des Fachanwenders und nach dessen Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Artikel 28 der RGPD (Datenschutz-Grundverordnung).

Bei den Konto- und Rechnungsdaten des Fachanwenders selbst sowie bei den Sicherheits- und Prüfprotokollen des Dienstes handelt Titus Docs als Verantwortlicher.

Wenn Sie Betroffener sind und wissen möchten, wer Ihre Dokumente angefordert hat und zu welchem Zweck, finden Sie diese Information in dem Link, den Sie erhalten haben; Sie können sie außerdem bei dem betreffenden Fachanwender erfragen.

3. Verarbeitete personenbezogene Daten

Daten des Fachanwenders: Name, E-Mail-Adresse, Telefonnummer, Unternehmens- und Rechnungsdaten, Nutzungsdaten des Kontos, Aufzeichnungen über Anfragen und Guthaben.

Daten des Betroffenen: Name, E-Mail-Adresse oder Telefonnummer, die für den Versand des Links verwendet werden, NIF und NISS, die Aufzeichnung der Einwilligung sowie die aus den Portalen abgerufenen amtlichen Dokumente. Diese Dokumente können je nach Genehmigung des Betroffenen Daten wie Steueradresse, Einkommen, Beitragsstatus, Sozialversicherungsdaten, Immobilien oder Kreditverbindlichkeiten enthalten.

Zugangsdaten: Die vom Betroffenen eingegebenen Passwörter und SMS-Codes werden ausnahmsweise gemäß Abschnitt 5 und nur während der Erfassung verarbeitet.

Technische Daten: IP-Adresse, Browsertyp und Zugriffsprotokolle zu Sicherheitszwecken und zur Erkennung von Missbrauch. Wir erheben nicht absichtlich besondere Kategorien personenbezogener Daten; amtliche Dokumente können jedoch sensible Informationen enthalten, die mit demselben Schutzniveau und ausschließlich zum Zweck der Erfassung verarbeitet werden.

4. Zwecke und Rechtsgrundlagen

Durchführung der vom Fachanwender angeforderten Erfassung und Übermittlung der Dokumente an ihn. Die Rechtsgrundlage für die Verarbeitung der Daten des Betroffenen wird vom Fachanwender als Verantwortlichem festgelegt; in der Regel handelt es sich um die Einwilligung des Betroffenen (Artikel 6 Absatz 1 Buchstabe a der RGPD) oder um vorvertragliche Maßnahmen auf Anfrage des Betroffenen (Buchstabe b). Titus Docs führt die Verarbeitung lediglich unter den festgelegten Bedingungen aus.

Verwaltung des Kontos, des Guthabens und der Abrechnung des Fachanwenders: Vertragserfüllung (Artikel 6 Absatz 1 Buchstabe b) und Erfüllung rechtlicher Verpflichtungen, insbesondere steuer- und buchhaltungsrechtlicher Art (Buchstabe c).

Führung von Einwilligungs- und Prüfprotokollen, um nachzuweisen, dass die Einwilligung erteilt und der Dienst im genehmigten Umfang erbracht wurde: berechtigtes Interesse (Buchstabe f) und, soweit anwendbar, Erfüllung rechtlicher Verpflichtungen.

Sicherheit des Dienstes, Verhinderung von Betrug und Missbrauch sowie technische Verbesserung: berechtigtes Interesse (Artikel 6 Absatz 1 Buchstabe f) nach Abwägung der Rechte und Erwartungen der betroffenen Personen.

Beantwortung von Anfragen und Beschwerden sowie, soweit erforderlich, Verteidigung von Rechten in Verfahren: berechtigtes Interesse und Erfüllung rechtlicher Verpflichtungen.

5. Zugangsdaten für die Portale

Um die Dokumente abzurufen, gibt der Betroffene auf der Erfassungsseite seine Zugangsdaten ein: NIF und Passwort der Steuer- und Zollbehörde (Finanças), NISS und Passwort des Online-Portals der Sozialversicherung (Segurança Social Direta) sowie, sofern das Portal dies verlangt, den per SMS erhaltenen Code. Der Zugang zur portugiesischen Zentralbank (Banco de Portugal) erfolgt über die Authentifizierung der Steuer- und Zollbehörde (Finanças).

Diese Zugangsdaten werden bei Eingang mit AES-256-GCM verschlüsselt, ausschließlich von dem Roboter verwendet, der die Erfassung in einem isolierten Browser durchführt, und am Ende der Erfassung gelöscht. Sie werden höchstens 24 Stunden lang gespeichert; nach Ablauf dieser Frist werden sie gelöscht, auch wenn die Erfassung nicht abgeschlossen wurde. Der Fachanwender sieht sie nie, und wir verwenden sie weder für andere Zwecke noch speichern wir sie in Protokolldateien.

Der Betroffene kann die Erfassung jederzeit abbrechen. Wir empfehlen, die Passwörter nach Abschluss der Erfassung zu ändern.

6. Speicherdauer

Zugangsdaten: werden am Ende der Erfassung gelöscht, in jedem Fall spätestens nach 24 Stunden.

Abgerufene PDF-Dokumente: werden 30 Tage lang gespeichert, damit der Fachanwender sie herunterladen kann, und anschließend automatisch gelöscht. Der Fachanwender kann sie vor Ablauf dieser Frist löschen. Dokumente, die der Fachanwender in seine eigenen Systeme heruntergeladen hat, unterliegen ausschließlich seiner Verantwortung.

Einwilligungs- und Prüfprotokolle: werden 5 Jahre lang aufbewahrt, zu Nachweiszwecken sowie zur Erfüllung rechtlicher Verpflichtungen und zur Verteidigung von Rechten.

Konto- und Rechnungsdaten des Fachanwenders: für die Dauer des Vertrags und danach für die gesetzlichen steuer- und buchhaltungsrechtlichen Aufbewahrungsfristen.

Nach Ablauf der Fristen werden die Daten gelöscht oder unwiderruflich anonymisiert.

7. Empfänger und Auftragsverarbeiter

Die Daten des Betroffenen werden dem Fachanwender zur Verfügung gestellt, der die Dokumente angefordert hat. Wir verkaufen keine personenbezogenen Daten und verwenden sie nicht für Werbezwecke.

Wir setzen Auftragsverarbeiter ein, mit Verträgen, die Artikel 28 der RGPD entsprechen: Hosting auf einem dedizierten Server in der Europäischen Union (Deutschland); Stripe für Zahlungen (nur Rechnungs- und Zahlungsdaten des Fachanwenders); Cloudflare für DNS-Dienste.

Darüber hinaus können wir Daten an Behörden übermitteln, wenn das Gesetz dies verlangt oder erlaubt, sowie an unsere beruflichen Berater, die einer Verschwiegenheitspflicht unterliegen.

8. Internationale Datenübermittlungen

Die Daten der Dokumente und der Zugangsdaten werden auf einem Server in der Europäischen Union (Deutschland) verarbeitet und gespeichert. Einige unserer Dienstleister, wie Stripe und Cloudflare, können begrenzte Daten (etwa Zahlungsdaten oder IP-Adressen) außerhalb des Europäischen Wirtschaftsraums verarbeiten. In diesen Fällen stützt sich die Übermittlung auf in der RGPD vorgesehene Mechanismen, wie Angemessenheitsbeschlüsse oder Standardvertragsklauseln, sowie erforderlichenfalls auf ergänzende Maßnahmen.

9. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen ein: Verschlüsselung der Zugangsdaten (AES-256-GCM), Verschlüsselung der Kommunikation, ein isolierter Browser für jede Erfassung, rollenbasierte Zugriffskontrolle, Zugriffsprotokollierung, Sicherungskopien und automatische Löschung nach den festgelegten Fristen.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko für die Rechte der betroffenen Personen mit sich bringt, benachrichtigen wir den Fachanwender ohne unangemessene Verzögerung, damit er seinen Pflichten als Verantwortlicher nachkommen kann, und arbeiten mit ihm und mit der Aufsichtsbehörde zusammen.

10. Rechte der betroffenen Personen, ihre Ausübung und Beschwerde bei der CNPD

Gemäß der RGPD haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, Ihre Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bereits erfolgten Verarbeitung berührt wird, und das Recht, keiner ausschließlich automatisierten Entscheidung mit erheblichen Auswirkungen unterworfen zu werden.

Wenn Sie Betroffener sind, richten Sie Ihre Anfrage bitte an den Fachanwender, der Ihre Dokumente angefordert hat, da er der Verantwortliche ist. Sie können uns auch unter dpo@titusone.pt schreiben: Wir leiten die Anfrage an den Fachanwender weiter und helfen, soweit möglich, bei ihrer Beantwortung, zum Beispiel durch sofortige Löschung der Dokumente. Wenn Sie Fachanwender sind oder es um Daten geht, für die wir Verantwortlicher sind, kann die Anfrage direkt an dpo@titusone.pt gerichtet werden.

Wir antworten innerhalb eines Monats; diese Frist kann nach Maßgabe der gesetzlichen Bestimmungen verlängert werden. Wir können zusätzliche Informationen anfordern, um die Identität der anfragenden Person zu bestätigen.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Gesetz verstößt, haben Sie das Recht, bei der portugiesischen Datenschutzbehörde (Comissão Nacional de Proteção de Dados, CNPD) unter www.cnpd.pt Beschwerde einzulegen, unbeschadet anderer verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

11. Cookies

Wir verwenden ausschließlich technische Cookies, die für den Betrieb der Website unbedingt erforderlich sind: ein Sitzungscookie, das Sie angemeldet hält, und ein Cookie für die Designeinstellung (hell oder dunkel). Wir verwenden keine Werbe-, Verhaltensanalyse- oder Tracking-Cookies, weshalb für deren Verwendung keine Einwilligung eingeholt werden muss. Sie können diese Cookies in den Browsereinstellungen löschen oder blockieren, allerdings funktionieren dann möglicherweise einige Funktionen nicht mehr.

12. Änderungen und Kontakt

Wir können diese Erklärung aktualisieren. Das Datum der letzten Aktualisierung ist oben auf dieser Seite angegeben; bei wesentlichen Änderungen informieren wir die Fachanwender per E-Mail oder im virtuellen Büro (Escritório Virtual).

Kontakt für Datenschutzfragen: dpo@titusone.pt. Allgemeiner Kontakt: geral@titusone.pt. Betreiber: [ENTIDADE OPERADORA — NIPC, morada].